CVE-2017-8291
Artifex Ghostscript Type Confusion Vulnerability
Beschreibung
CVE-2017-8291 ist eine Schwachstelle zur Remote-Code-Ausführung in Artifex Ghostscript, einem weit verbreiteten Interpreter für PostScript- und PDF-Dateien. Die Schwachstelle ermöglicht es Angreifern, die -dSAFER-Sandbox-Beschränkung durch einen Type-Confusion-Fehler im .rsdparams-Operator in Kombination mit dem /OutputFile-Parameter zu umgehen und beliebige Befehle auf dem Hostsystem auszuführen. Da Ghostscript in zahlreiche Anwendungen und Dienste zur Dokumentverarbeitung eingebettet ist, hat diese Schwachstelle besonders weitreichende Auswirkungen. CISA hat CVE-2017-8291 in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 99,7 % weist auf eine nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| artifex | ghostscript | < 9.21 |
| debian | debian linux | 8.0 |
| redhat | enterprise linux desktop | 6.0; 7.0 |
| redhat | enterprise linux eus | 7.3; 7.4; 7.5; 7.6; 7.7 |
| redhat | enterprise linux server | 6.0; 7.0 |
| redhat | enterprise linux server aus | 7.3; 7.4; 7.6; 7.7 |
| redhat | enterprise linux server tus | 7.3; 7.6; 7.7 |
| redhat | enterprise linux workstation | 6.0; 7.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://openwall.com/lists/oss-security/2017/04/28/2(Mailing List, Patch, Third Party Advisory)
- http://www.debian.org/security/2017/dsa-3838(Mailing List, Third Party Advisory)
- http://www.securityfocus.com/bid/98476(Broken Link, Third Party Advisory, VDB Entry)
- https://access.redhat.com/errata/RHSA-2017:1230(Third Party Advisory)
- https://bugs.ghostscript.com/show_bug.cgi?id=697808(Issue Tracking, Third Party Advisory, VDB Entry)
- https://bugzilla.redhat.com/show_bug.cgi?id=1446063(Issue Tracking, Patch, Third Party Advisory, VDB Entry)
- https://bugzilla.suse.com/show_bug.cgi?id=1036453(Exploit, Issue Tracking, Third Party Advisory, VDB Entry)
- https://git.ghostscript.com/?p=ghostpdl.git%3Ba=commit%3Bh=04b37bbce174eed24edec7ad5b920eb93db4d47d(Broken Link)
- https://security.gentoo.org/glsa/201708-06(Third Party Advisory)
- https://www.exploit-db.com/exploits/41955/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-8291(US Government Resource)
Schwachstellentyp
CWE-704: Fehlerhafte Typkonvertierung oder Typumwandlung
CWE-704 beschreibt eine Schwachstelle, bei der ein Produkt Daten nicht korrekt von einem Typ in einen anderen konvertiert, was zu unerwartetem Verhalten führt. Bei CVE-2017-8291 ermöglicht eine Type-Confusion in Ghostscripts Verarbeitung des .rsdparams-Operators einem Angreifer, die -dSAFER-Sandbox zu umgehen und einen /OutputFile-Parameter anzugeben, der die Ausführung beliebiger Befehle auslöst und so die vorgesehenen Sicherheitsbeschränkungen des Interpreters überwindet.
Weitere Informationen: CWE-704 — Incorrect Type Conversion or Cast
Auswirkungsanalyse
CVE-2017-8291 ermöglicht die Remote-Befehlsausführung auf jedem System, das eine verwundbare Version von Artifex Ghostscript betreibt. Die Schwachstelle ist besonders schwerwiegend, da Ghostscript weit verbreitet in Bildverarbeitungsbibliotheken (wie ImageMagick), Webanwendungen, Mailservern und Dokumentkonvertierungsdiensten eingebettet ist, von denen viele nicht vertrauenswürdige benutzerhochgeladene Dateien verarbeiten. Ein Angreifer kann eine bösartige PostScript- oder EPS-Datei erstellen, die bei Verarbeitung durch Ghostscript beliebige Betriebssystembefehle mit den Privilegien des Ghostscript-Prozesses ausführt. Das EPSS-Perzentil von 99,7 % belegt eine nahezu sichere aktive Ausnutzung, und die Aufnahme in den CISA-KEV-Katalog bestätigt reale Angriffe. Die Auswirkung erstreckt sich auf Vertraulichkeit, Integrität und Verfügbarkeit, da eine erfolgreiche Ausnutzung dem Angreifer Shell-Zugang zum darunterliegenden System gewährt.
Exploit-Reifegrad
CVE-2017-8291 wird seit der Veröffentlichung im Jahr 2017 umfangreich ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 14. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 99,7 % ordnet sie unter die am häufigsten ausgenutzten Schwachstellen überhaupt ein. Öffentlicher Exploit-Code ist weit verbreitet, und die Schwachstelle wurde in Angriffen gegen Webanwendungen und Dokumentverarbeitungsdienste eingesetzt, die Ghostscript als Backend verwenden. Das typische Ausnutzungsmuster umfasst das Hochladen einer präparierten PostScript-, EPS- oder PDF-Datei zu einem Dienst, der sie mit Ghostscript verarbeitet, wodurch die Sandbox-Umgehung ausgelöst wird.
Behebung
- Aktualisieren Sie Artifex Ghostscript auf Version 9.22 oder höher, die CVE-2017-8291 behebt. Wenden Sie Updates gemäß den Herstelleranweisungen an, wie vom CISA-KEV-Katalog gefordert.
- Falls ein sofortiges Patching nicht möglich ist, deaktivieren Sie die Verarbeitung von PostScript- und EPS-Dateien in Anwendungen, die Ghostscript als Backend nutzen, insbesondere in webfähigen Diensten, die benutzerhochgeladene Dokumente akzeptieren.
- Konfigurieren Sie Ghostscript mit strikten Policy-Dateien, die den Dateisystemzugriff und die Befehlsausführung einschränken, auch wenn das -dSAFER-Flag verwendet wird.
- Überprüfen Sie alle Anwendungen in Ihrer Umgebung, die von Ghostscript für die Dokumentverarbeitung abhängen, einschließlich ImageMagick, GraphicsMagick und benutzerdefinierter Dokumentkonvertierungs-Pipelines, und stellen Sie sicher, dass sie die gepatchte Version verwenden.
- Implementieren Sie Dateityp-Validierung und Sandboxing für benutzerhochgeladene Dokumente. Verarbeiten Sie diese in isolierten Umgebungen mit eingeschränktem Netzwerkzugang und Dateisystemberechtigungen.
Technische Details
CVE-2017-8291 nutzt eine Type-Confusion-Schwachstelle im PostScript-Interpreter von Artifex Ghostscript aus. Das -dSAFER-Flag soll Ghostscript daran hindern, gefährliche Operationen wie das Schreiben von Dateien oder das Ausführen von Befehlen durchzuführen, aber der .rsdparams-Operator validiert Parametertypen nicht ordnungsgemäß. Ein Angreifer kann ein PostScript-Dokument erstellen, das diese Type-Confusion nutzt, um den /OutputFile-Parameter auf einen Pipe-Befehl zu setzen (z.B. /OutputFile (%pipe%command)), wodurch Ghostscript bei der Verarbeitung der Datei beliebige Shell-Befehle ausführt. Dies umgeht die -dSAFER-Sandbox vollständig. Der Angriff erfordert keine Authentifizierung und kann remote ausgelöst werden, wann immer eine verwundbare Ghostscript-Instanz angreiferkontrollierte Eingaben verarbeitet. Die Schwachstelle ist unter CWE-704 (Fehlerhafte Typkonvertierung) klassifiziert, da die Ursache in der fehlenden Typprüfung der .rsdparams-Operator-Argumente liegt.
Häufig gestellte Fragen
Wird CVE-2017-8291 aktiv ausgenutzt?
Ja, CVE-2017-8291 wird seit 2017 umfangreich ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 99,7 % belegt eine nahezu sichere Ausnutzungsaktivität. Öffentlicher Exploit-Code ist weit verbreitet und wurde in Angriffen gegen Webanwendungen und Dokumentverarbeitungsdienste eingesetzt.
Welche Produkte sind von CVE-2017-8291 betroffen?
CVE-2017-8291 betrifft direkt Artifex Ghostscript in Versionen vor 9.22. Die Auswirkung erstreckt sich jedoch auf alle Software, die Ghostscript zur Dokumentverarbeitung nutzt, einschließlich ImageMagick, GraphicsMagick, LibreOffice und zahlreiche Webanwendungen und Mailserver, die PostScript-, EPS- oder PDF-Dateien konvertieren oder rendern.
Wie behebe ich CVE-2017-8291?
Aktualisieren Sie Ghostscript auf Version 9.22 oder höher. Überprüfen Sie auch alle Anwendungen in Ihrer Umgebung, die von Ghostscript abhängen, und stellen Sie sicher, dass sie die gepatchte Version verwenden. Als Zwischenmaßnahme deaktivieren Sie die PostScript/EPS-Verarbeitung in webfähigen Diensten. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2017-8291?
CVE-2017-8291 ist eine Schwachstelle zur Remote-Code-Ausführung mit einem EPSS-Perzentil von 99,7 %, was nahezu sichere Ausnutzung anzeigt. Die Schwere wird durch die weite Verbreitung von Ghostscript als Backend-Prozessor in vielen Anwendungen verstärkt, wodurch eine einzige ungepatchte Installation einen gesamten Anwendungsstapel der Befehlsausführung aussetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.